S účinnosťou nového Nariadenia Európskeho Parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov, ďalej aj „GDPR“) vzniklo pomerne veľa otázok týkajúcich sa pojmov používaných v GDPR a postupov jeho uplatňovania.
V tomto článku sa zameriame na užšiu oblasť týkajúcu sa osobných údajov vychádzajúcu z nastavení GDPR, konkrétne na problematiku fotografií zamestnancov v rámci pracovného pomeru.
Spracúvanie fotografií zamestnancov je v súčasnosti bežnou spracovateľskou operáciou
Denne sa v pracovnom prostredí stretávame so zamestnaneckými preukazmi či vizitkami s vyobrazením tváre, s prezentačnými fotografiami, ktoré sú zverejňované napr. na webových stránkach zamestnávateľa či na sociálnych sieťach alebo intranete, ako aj s inými fotografiami vyhotovenými na firemných akciách, teambuildingoch, školeniach a pod.
Pokiaľ fotografie nemajú povahu biometrických údajov, na ktoré sa vzťahuje osobitný režim spracúvania, považujeme ich za bežné osobné údaje.
Zamestnávateľ by mal pred samotným spracúvaním fotografií objasniť, kedy bude fotografia vyhotovená, na čo bude použitá a akým spôsobom, kde a po akú dobu bude zobrazovaná/zverejňovaná.
Na základe čoho však môže zamestnávateľ spracúvať/zverejňovať fotografie zamestnancov? V zmysle GDPR prichádzajú do úvahy viaceré právne základy, najmä
– súhlas zamestnanca,
– oprávnený záujem zamestnávateľa,
– plnenie zmluvy, ktorej zmluvnou stranou je zamestnanec,
– zákonná povinnosť zamestnávateľa.
1. Súhlas dotknutej osoby (zamestnanca) musí byť jasným prejavom jeho vôle. Súhlas predstavuje slobodné, konkrétne, informované, jednoznačné a bezpodmienečné vyjadrenie zamestnanca k spracúvaniu osobných údajov na konkrétny účel.
Z pojmových znakov súhlasu je teda pravdepodobné, že v pracovnom pomere, ktorého typickým znakom je vzťah „nadriadenosti“ a „podriadenosti“, resp. vykonávania závislej práce zamestnancom na základe pokynov zamestnávateľa, bude náročné splniť všetky požiadavky na platný súhlas so spracovaním osobných údajov. Tie sa viažu najmä na jeho dobrovoľnosť a bezpodmienečnosť.
Zamestnávateľ nemôže ovplyvňovať rozhodovanie zamestnanca či poskytne alebo neposkytne súhlas so spracúvaním osobných údajov. Tiež nemôže zamestnanca zastrašovať negatívnymi následkami spojenými s prípadným neudelením súhlasu.
Je potrebné pamätať aj na to, že súhlas je vždy odvolateľný, čo pre mnohých zamestnávateľov môže spôsobovať v praxi komplikácie.
Prioritu by preto mali mať iné právne základy a iba ak tie nemožno uplatniť, je vhodné pristúpiť k súhlasu zamestnanca.
Na druhej strane je však súhlas v niektorých prípadoch veľmi žiaducim spôsobom, na základe ktorého možno zákonne spracúvať osobné údaje. Súhlas je potrebné vyžiadať od zamestnanca napríklad pred zverejnením fotografií z firemného večierka na webovej stránke zamestnávateľa či na sociálnych sieťach, prípadne intranete.
Súhlas sa javí ako vhodný právny základ napríklad aj v prípade, keď sa má zverejniť fotografia zamestnanca vo firemnom časopise. Aj v týchto prípadoch však odporúčame najskôr posúdiť či neexistuje iný právny základ, na základe ktorého by mohlo dôjsť k spracúvaniu osobných údajov.
2. Ďalším právnym základom, ktorý môže zamestnávateľ pri spracúvaní osobných údajov využiť, je jeho oprávnený záujem. Oprávnený záujem zamestnávateľa je taký záujem, nad ktorým neprevažujú záujmy alebo základné práva a slobody zamestnanca.
Pri posudzovaní oprávneného záujmu by mal zamestnávateľ v prvom rade zistiť či jeho záujem je skutočne oprávnený, t.j. v súlade s právnym poriadkom. Oprávnený záujem by mal byť reálny a aktuálny. Zároveň nemôže byť špekulatívny a musí súvisieť so stanoveným účelom. Oprávnený záujem by mal byť dostatočne špecifický na to, aby sa mohol vykonať tzv. test proporcionality voči záujmom a základným právam a slobodám zamestnancov.
Znamená to, že sa vykoná akési váženie záujmov zamestnávateľa na jednej strane a záujmov, práv a slobôd zamestnanca na strane druhej. Aby zamestnávateľ mohol uplatniť oprávnený záujem ako právny základ spracúvania, nemôžu práva a slobody zamestnanca prevažovať nad záujmami zamestnávateľa.
Príkladom spracúvania fotografií zamestnancov postavenom na oprávnenom záujme zamestnávateľa môže byť spracúvanie týkajúce sa evidencie dochádzky zamestnancov alebo pri regulovaní vstupu zamestnancov do vyhradených priestorov.
3. Ako sme vyššie spomínali, právnym základom spracúvania osobných údajov zamestnancov môže byť aj zmluva. V právnom vzťahu medzi zamestnávateľom a zamestnancom to bude spravidla pracovná zmluva. Ak sa v nej priamo vymedzia presné podmienky, za akých dochádza k vyhotovovaniu a spracúvaniu snímok zamestnancov, môže byť veľmi vhodným právnym základom na spracúvanie osobných údajov.
V pracovnej zmluve by mal byť priamo vymedzený účel spracúvania (zverejnenia) fotografií, napríklad už spomínaná propagácia zamestnávateľa na webovej stránke či na sociálnej sieti, vydávanie firemného časopisu, vydanie zamestnaneckého preukazu, evidencia dochádzky zamestnanca a pod.
4. V niektorých prípadoch zamestnávateľ nemusí skúmať oprávnený záujem ani vyžadovať súhlas či čerpať zo zmluvného dokumentu. Je tomu tak vtedy, keď priamo zákon ustanovuje, že spracúvanie je nevyhnutné na splnenie zákonnej povinnosti zamestnávateľa.
Upozorňujeme však na to, že fotografia zamestnanca štandardne nepatrí medzi osobné údaje, ktoré je zamestnávateľ oprávnený zverejniť na základe zákona. Výnimku predstavujú služobné preukazy zamestnancov SBS služieb či štátnych zamestnancov, pri ktorých je právnym základom na spracúvanie fotografií osobitný zákon (napr. zákon č. 473/2005 Z. z. o súkromnej bezpečnosti a zákon č. 55/2017 Z. z. o štátnej službe).
Vyššie sme načrtli najbežnejšie právne základy pre spracúvanie fotografií zamestnancov
Súčasne treba mať vždy na pamäti, že akékoľvek spracúvanie osobných údajov, t.j. aj spracúvanie fotografií zamestnancov, vždy musí reflektovať základné zásady stanovené GDPR, a to najmä zákonnosť, spravodlivosť, transparentnosť, nevyhnutnosť, minimalizáciu údajov a minimalizáciu uchovávania.
Dávame do pozornosti aj to, že zamestnávateľ si musí voči zamestnancom splniť informačnú povinnosť podľa čl. 13 GDPR. Tiež je potrebné nastaviť interné postupy tak, aby boli v plnom rozsahu zachované práva zamestnanca podľa GDPR.
Netreba tiež zabúdať na to, že okrem ochrany osobných údajov sa na fotografiu zamestnanca vzťahuje aj ochrana osobnosti podľa Občianskeho zákonníka, prípadne ochrana pred neoprávneným nakladaním s osobnými údajmi podľa Trestného zákona.
Spracúvanie fotografií zamestnancov má svoje špecifiká
Je preto potrebné porozumieť dotknutým ustanoveniam GDPR a osobitným zákonom upravujúcim ochranu osobných údajov a následne ich uplatňovať v praxi. Veríme, že v tomto smere Vám vedia byť vyššie uvedené riadky nápomocné.
Máte otázky k téme GDPR? Pridajte sa do diskusného fóra => GDPR – ochrana osobných údajov
